セキュリティ週報 2026-W45：Symfony が一度に 21 件

これは恩梯科技（NT IT）セキュリティ週報の第 3 号で、2026 年第 45 週（11 月 2 日以降）を扱います。データは 11 月 6 日時点まで読み取りました。今週の三つの話は一文でつながります。バージョン番号が合っていることは、その穴が本当にふさがったことを意味しません。

急ぐものを先に。サイトが WordPress で、まだ 7.1.4 になっていなければ、今すぐ更新してください。前号で取り上げた「アップグレード処理中のリモートコード実行」の脆弱性は、11 月 3 日に米国 CISA の「悪用が確認された脆弱性」一覧に入りました。CISA が連邦機関に示した期限は11 月 6 日——本号の着手日そのものです。さらに重要なのは、CISA がこの項目の「フォレンジック調査が必要」フラグを Yes にしていることで、このフラグは全項目に付くものではありません。

二つ目は今週の本当の大口です。Symfony が 11 月 4 日に 21 件のセキュリティ勧告を一度に公開しました。対象は 13 のコンポーネントにまたがり、修正版はコンポーネントごとに異なります（多くは 5.4.56、6.4.50、7.4.23、8.1.11）。件数そのものは要点ではありません。要点は、そのうち 6 件の見出しにプロジェクト自身が「Incomplete Fix」と書いていること——以前の修正が問題を片付けきれておらず、しかも各件が「どの古い番号を埋めるのか」を名指ししています——そして 7 件目はさらに直接的で、前回の修正が生んだ退行です。前号では Symfony が 5 月の「修正済み」という記述を自ら訂正した件を扱いました。今号は同じ形が 7 回現れています。

三つ目は Chrome 157（11 月 3 日に安定版へ昇格）で、公式の一文は逐語で「This update includes 213 security fixes.」です。213 という数字は大きく見えますが、これはメジャーバージョン昇格で積み上がったものなので、前号の「Chrome 156 は 21 件修正」と直接比べることはできません。理由は第 3 節で説明します。

この週報の読み方

• 各項目に出典の層を示します。〔公式〕はベンダー・プロジェクト・政府機関が自ら出した告知、〔調査／メディア〕はセキュリティ企業やメディアの見解で、公式の後に置きます。両者が食い違うときは両方を書き、どちらにも結論を出しません。
• 修正版の番号は公式勧告から写し、二次まとめは使いません。自分たちで数えた数字は、自分たちが数えたものだと明記します。
• これらの番号が意味を持つのは、自分がどのバージョンで動いているかを知ってからです。確認の仕方と間違えやすい箇所は〈セキュリティ入門 01｜公告が出た日：自分のシステムが該当するかどう見分けるか〉にあります。
• 勧告はどこで読むのか、誰が見るべきかは〈セキュリティ入門 06｜セキュリティ勧告はどこで読むか、誰が見ているかをどう確認するか〉にあります。

一、WordPress のアップグレード脆弱性が、今週「実際に悪用されている」と認定された

〔公式：米国 CISA〕CVE-2026-119977 は11 月 3 日に CISA の「悪用が確認された脆弱性」一覧（Known Exploited Vulnerabilities、KEV）に入りました。読んだのは CISA 自身が公開しているデータファイルで、カタログ版は2026.11.04、その時点で全体 1,768 件です。CISA の記述では、WordPress コアに time-of-check time-of-use（TOCTOU）の競合状態があり、認証を経ていない攻撃者がアップグレードの時間帯にサーバー上でコードを実行できる可能性があるとされています。原因は、フルパッケージでのコア更新時に、推測可能で web からアクセスできる一時パスを使っていた点です。

個別に読む価値のある点が三つあります。

• 期限は 2026 年 11 月 6 日です。KEV の期限が拘束するのは米国連邦機関で、台湾の企業に法的義務が及ぶものではありません。ただし借用できる判断ではあります。公式が自分たちの組織に与えた時間が 3 日しかない——それは、来月に回してよい話だと公式が考えていないという意味です。
• この項目の「フォレンジック調査が必要」（forensicTriage）は Yes です。同じ週に追加されたもう 1 件（CVE-2024-27834、Apple、11 月 4 日追加、期限 11 月 18 日）はこの欄が No でした。違いは、推奨される対応が「更新すればよい」だけでなく、すでに攻撃を受けていないかを遡って確認することまで含む点です。
• 修正版は 7.1.4、10 月 28 日公開で、11 月 6 日時点でもこれが最新版です。WordPress 公式のバージョン確認エンドポイントから読み戻した現行版は 7.1.4 で、これより新しい修正版はありません。次の版を待つ理由はありません。

〔公式：WordPress〕WordPress 7.1.4 の公式告知は、この件をセキュリティ修正一覧の第 1 項に挙げ、逐語でこう書いています。「A weakness in the WordPress upgrade process which can lead to remote code execution during the upgrade window, reported by Umut Bayram.」同じ版では、Interactivity API の格納型 XSS 複数件、Customizer の選択的リフレッシュにおける XSS、カテゴリーブロックの XSS、そして格納型のサービス拒否も修正されています。告知自身の言い方は「Because this is a security release, it is recommended that you update your sites immediately.」です。

公式告知には CVE 番号も、影響を受けるバージョン範囲も書かれていません。その二つは別途調べたものです。番号は CISA と NVD から、そして NVD の評価はCVSS 3.1 で 8.1（HIGH）、影響範囲は 4.7 以降の各分岐が挙げられています。つまり「公式告知だけを読む」では、この件で深刻度と範囲が抜け落ちます。公式の手抜きではなく、二種類の出典がそれぞれ別の役目を担っている、ということです。

二、Symfony が一度に 21 件、うち 7 件は「前回の修正」の話

〔公式：Symfony〕Symfony は2026 年 11 月 4 日に21 件のセキュリティ勧告を一括公開しました。二つの公式経路で件数は一致します。symfony.com の 2026 年 11 月アーカイブには勧告記事が 21 本あり、Packagist のセキュリティ勧告 API で symfony/symfony を引いても、報告日が 2026-11-04 のものは 21 件です。

まず自分たちが落ちた罠を書きます。同じ方法で勧告を追っている可能性があるからです。この 21 本は URL の形が二種類あります。16 本は /blog/ghsa-…、残る5 本は /blog/cve-…です。最初に数えたとき ghsa の形だけを突き合わせ、16 本と数え、公式ブログは Packagist より 5 件少ないと結論しました。その結論は誤りで、こちらの突き合わせがもう一方の URL 形を取りこぼしていただけです。

この罠は書き留める価値があります。当方に固有の話ではないからです。URL のパターン、フィードの見出しの接頭辞、キーワードで勧告を絞っている場合、ベンダーが命名を一つ変えるだけで一群が抜け落ちます。画面上では何も赤くなりません——ただ「今週はこれだけだった」と見えるだけです。

同じ 21 件が、四つの公式データセットで違う姿になる

数え直したあとさらに追ったところ、「件数が合うか」より役立つことが出てきました。この 21 件は四つの公式経路で見え方が違い、どのデータを読む道具を使うかで、見える版が決まります。

行ごとに意味が違うので、順に説明します。

• CVE 番号が 5 件か 9 件か——差の 4 件は実在します。GitHub のリポジトリ勧告データセットには、他にはない 4 つの番号があります。CVE-2026-121373（HtmlSanitizer の meta refresh）、CVE-2026-121949（HtmlSanitizer の srcset）、CVE-2026-123119（NoPrivateNetworkHttpClient）、CVE-2026-123125（Ip 検証制約）。NVD で 1 件ずつ確認し、4 件すべて登録されていました（11 月 4 日と 5 日）。11 月 6 日に読み取った状態はいずれも Received——登録済みで分析前であり、その時点では 4 件とも CVSS スコアがありませんでした。公開前の 11 月 8 日に再度確認したところ、4 件すべてにスコアが付いていました（状態は Awaiting Analysis に変わっています）。CVSS 4.0 は上記の順に 5.3、2.3、2.3、6.3。CVE-2026-121949 と CVE-2026-123125 には CVSS 3.1 の 5.4 と 6.5 も付いています。二つのスコア体系を混ぜて比べないでください。CVE-2026-121949 は 4.0 で 2.3（LOW）、3.1 では 5.4（MEDIUM）——同じ欠陥が体系によって区分まで変わります。採点した出典も同一ではありませんが、NVD の応答は出典の識別子のみで機関名を示さないため、当方では名前を補いません。symfony.com と Packagist には、当方が見た時点でこの 4 つはありませんでした。
• 深刻度は GitHub のデータセットにしかなく、これは予定を組むうえで実務的です。その分布はhigh 5 件、medium 10 件、low 6 件、critical 0 件（合計 21）。この一括に critical は一件もありません——「予定に入れるが、今日すべてを止める話ではない」と言える根拠がこれで、公式ブログと Packagist では読み取れません。
• GitHub の「全体」勧告 API では一件も見つからず、番号で 1 件ずつ問い合わせても Not Found でした。プロジェクト自身のリポジトリ勧告とは別のデータセットです（当方が測った時点で、全体側の composer エコシステムは 10 月末で止まっていました）。つまり「GitHub の勧告 API で確認したが何もなかった」は、どちらに問い合わせたかで意味が変わります。
• もう一つ小さな罠。ブログで CVE を見出しにしているその 5 件は、GitHub 上では別に自前の GHSA 番号も持っています（たとえば CVE-2026-118513 は GHSA-5w3m-mfwg-9f8r）。その番号は symfony.com には一切表示されません。同じ脆弱性が二か所で二つの名前を持つため、突き合わせで 2 件と数えてしまいがちです。

この節で言いたいのは「どのデータセットが正しいか」ではありません。四つはいずれも公式で、どれも偽りではありません。記録している欄が違い、更新の速さが違うだけです。覚えておく一文はこれです。実際に突き合わせになるのは、二つ以上の出典の総数が一致するかどうかで、購読しているかどうかではありません。そしてスキャン用の道具が一つの出典しか読んでいなければ、そこに出る深刻度と番号はその出典の版であって、全体像ではありません。

21 件は 13 のコンポーネントにまたがる

同じコンポーネントが続けて問題を出したのではなく、一斉の洗い出しです。1 本ずつ読んだ分布はHTTP Foundation 3 件、Serializer 3 件、HTML Sanitizer 3 件、HTTP Client 2 件、Security HTTP 2 件、加えて Config、JSON Path、YAML、HTTP Kernel、Filesystem、Routing、Validator が各 1 件、そして Framework Bundle と HTTP Foundation の両方に関わるものが 1 件です。

修正版は全件同じではなく、ここは見落としやすい点です。多くは 5.4.56、6.4.50、7.4.23、8.1.11 ですが、HTML Sanitizer の 3 件は 6.4.50 以降にしか修正がなく（5.4 系にはこのコンポーネントがありません）、JSON Path の 1 件は 7.4.23 と 8.1.11 のみです。つまり「最新の修正版に上げた」は、実際に使っているコンポーネントに対して確認するもので、共通の版番号一組を見るものではありません。

プロジェクト自身が「Incomplete Fix」と記した 6 件、しかも各件が古い番号を名指し

この一括で非技術の意思決定者にとって最も読む価値があるのは件数ではなく、次の 6 件の性質です。新たに見つかった設計上の欠陥ではなく、前回の修正が問題を収めきれていなかったもので、Symfony はそれを本文に埋めずに見出しへ書いています。

• CVE-2026-118513（Security HTTP）：X509 認証機構が DN 値をエスケープされたカンマと裸のスラッシュで分割する。見出しはIncomplete Fix for CVE-2026-45063。
• CVE-2026-118514（HTTP Foundation）：HEAD リクエストが access_control とファイアウォールの methods 指定を回避する。見出しはIncomplete Fix for CVE-2026-45075。
• CVE-2026-118517（HTML Sanitizer）：ホスト許可リストが不正な形式の URL authority で回避される。見出しはIncomplete Fix for CVE-2026-45066。
• GHSA-c7hm-wqwp-f9v8（HTTP Client）：NoPrivateNetworkHttpClient がキャッシュ済みホストの IP を固定していなかった。見出しはIncomplete Fix for CVE-2024-50342——2024 年の修正を埋めるものです。設計上はホスト名を解決し、IP が私的アドレスかを確認してから下位のクライアントにその IP を渡しますが、渡していたのは初回解決時だけでした。以降の同一ホストへのリクエストは再度解決されるため、確認した IP と実際に接続する IP が異なりえました。
• GHSA-cpww-5vpx-72x7（JSON Path）：クエリが PHP のプロセスを占有しうる。見出しはIncomplete Fix for CVE-2026-45756から始まります。説明は具体的で、前回の修正は照合のたびに pcre.backtrack_limit を 10000 まで下げるものでしたが、その上限は「1 回の呼び出し」ではなく「1 つの開始位置」に適用されるため、コストは対象文字列のバイト数ごとに繰り返し支払われます。
• GHSA-wm2w-4mgj-vw33（HTML Sanitizer）：meta refresh の扱いがブラウザーの受け付ける文法の一部しか覆っていなかった。見出しはIncomplete Fix for CVE-2026-48761。

7 件目は「片付かなかった」ではなく、前回の修正が生んだ退行です（GHSA-3h27-hjv7-fqjx、HTTP Foundation）。パス規則が、スクリプト名の後ろに文字列を足すことで回避されうるというものです。公式の説明では、CVE-2025-64500 の修正以降 Request::getPathInfo() は URL 先頭からスクリプト名を取り除き、スクリプト名がより長いパス片の先頭にすぎない場合でも取り除くとされています。SCRIPT_NAME が /index.php のとき、/index.phpadmin へのリクエストはパス情報 /admin になり、そのようにルーティングされます。影響範囲も「古い版すべて」ではなく5.4.50、6.4.29、7.3.7 以降です。つまりまめに更新している側が該当します。

この 7 件を並べると、経営者に役立つ一文になります。「先月もう更新しました」は「その穴はふさがったのか」の答えにならない。修正にも不具合はあり、修正が生んだ退行はたいてい、すでに適用した人にだけ当たります。点検に決まったリズムが要るのは、ここでもあります。一度更新して終わりにはなりません。

今回は内部だけでなく挙動が変わる

勧告の 1 件は「プログラムからのログインがユーザーチェッカーの checkPostAuth() を飛ばす」を修正しています（GHSA-8f57-m8wj-x65w、Security HTTP）。その「Resolution」の節で、プロジェクトは副作用をはっきり書いています。修正後は、checkPostAuth() が投げた例外がSecurity::login() と authenticateUser() から出てくるようになります。インラインフラグメントの勧告でも、子リクエストの進行中に主リクエストを読むコードの挙動が変わると述べられています。したがってこの一括は、本番にそのまま当てて立ち去る類のものではありません。自動テストがあるなら先に通してください。とくに、登録・パスワード再設定・メール確認といった、プログラムからログインする経路です。

三、Chrome 157：公式は 213 件、ただし読み方が要る

〔公式：Google〕11 月 3 日のデスクトップ安定版の告知は逐語で「The Chrome team is delighted to announce the promotion of Chrome 157 to the stable channel for Windows, Mac and Linux.」と書いています。バージョンは157.0.8103.38／.39、セキュリティの一文は「This update includes 213 security fixes.」です。

以下の深刻度の内訳は自分たちで数えたもので、Google は集計を出していません。Critical 7 件、High 77 件、Medium 75 件、Low 54 件。合計はちょうど 213 で、公式の一文と一致します。この相互検算があることだけが、この数字を載せる理由です。

213 を前号の「Chrome 156 は 21 件修正」と直接比べないでください。157 はメジャーバージョンの昇格で、開発サイクル全体に積み上がった分を一度に片付けます。156 の更新は同じメジャー版内の小さな更新でした。二つの数字は同じ期間を測っていません。並べると「Chrome が一週間で 10 倍悪くなった」という、存在しない結論が出ます。

実務で使える点が二つあります。

• この告知には「実際に悪用されている」という記述がありません。Google が通常使う三つの言い回し——in the wild、exploit exists、actively exploited——を本文全体で探しましたが、一度も現れません。急ぎではありますが、夜中に起きて対応する類の急ぎではありません。
• Chrome の更新は、ベンダーが出した時点で適用されているわけではありません。告知自身が「This will roll out over the coming days/weeks.」と書いています。社内で確認すべきは「全員のブラウザーが実際に再起動されたか」で、「公式が出したか」ではありません。

もう一点、公式本文に書かれていることで、この業界の変わり目にも関わるので、そのまま挙げます。この 213 件のうち 14 件は、報告者が Anthropic の研究者として記され、逐語で「assisted by Claude」と添えられています（Xinyang Ge と Vlad Stolyarov の 2 名）。Critical 7 件のうち 1 件（CVE-2026-121035、Prerender の use-after-free）も含まれます。同じ週、WordPress 7.1.4 の謝辞にも「reported by Anthropic」と記された XSS が 1 件あります。二つの独立した公式出典が、同じ週に同じことを記録しました。脆弱性を見つける仕事に、すでに AI が入っています。この件に結論は出しません——今後 脆弱性が減るという意味でも、攻撃が増えるという意味でもありません。ただ、勧告の件数が今後減る見込みは薄く、「誰かが定期的に見ているか」は熱意ではなく人員のリズムの問題になるとは言えます。

四、Next.js も同じ日にキャッシュ漏れを修正、うち 1 件は前回の続き

〔公式：Next.js〕11 月 3 日に16.4.5と15.5.29が公開されました。どちらのリリースノートも冒頭は「This release contains security fixes for the following advisories:」で、勧告はすべて Moderate の下に置かれ、それより上の区分はありません。

16.4.5 は 7 件、15.5.29 は 3 件（前者の部分集合）です。見出しだけで同じ系統の問題だと分かります。キャッシュが越えてはいけない境界を越えているというものです。unstable_cache 経由で呼ばれた use cache でのテナント間の情報漏れ、入れ子の use cache における root パラメーター値をまたぐキャッシュ漏れ、Cache Components の共有フォールバックシェルがリクエスト由来のプレースホルダー経路パラメーターで汚染される問題、バイナリ引数を伴う場合の利用者間のキャッシュ漏れと汚染。残る 3 件（15.x にもあるもの）は、自前運用で取得した応答を転送する際のクライアント間の注入と漏れ、画像最適化における SVG 拒否の回避、そして Edge ランタイム経路で HttpOnly クッキーが内部応答ヘッダー経由で露出する問題です。

公式の見出しの 1 件は、末尾が逐語で「(follow-up)」です。root パラメーター値をまたぐキャッシュ漏れは、以前の修正の続きということです。今週これで三つ目のベンダーが同じ形になりました。

実務上の一言。これらはいずれも利用者ごとに違う内容を出していて、かつキャッシュを有効にしていることが前提です。完全に静的なマーケティングサイトが該当する可能性は低く、ログイン・会員・マルチテナントがあるなら、この一括は予定に入れてください。

五、来週すでに予告されている更新が二つ、先に予定へ入れられます

• 〔公式：Node.js〕Node.js はセキュリティリリースを「2026 年 11 月 11 日（水）当日またはその直後」と予告しています。対象は26.x、24.x、22.x の三系統で、公式は三系統それぞれの最高深刻度がいずれもHIGH だと記しています。全員に回す価値のある一文も添えられています。「It's important to note that End-of-Life versions are always affected when a security release occurs.」——サポートが終了した版は、セキュリティリリースのたびに該当します。修正版を出す人がそもそもいないからです。件数については公式は書いていません。
• 〔公式：Oracle〕次回の Critical Security Patch Update は 2026 年 11 月 17 日（火）で、公式は予告がその前の木曜に出ると明記しています（11 月 12 日）。Oracle には現在二つの予定表があります。四半期の Critical Patch Update（1・4・7・10 月の第 3 火曜、次回は 2027 年 1 月 19 日）と、2・3・5・6・8・9・11・12 月の第 3 火曜の Critical Security Patch Update です。この二つを混ぜると「Oracle は今四半期は何もない」と誤解します。

どちらも「今すぐ手を動かす」ものではありませんが、前もって予定に入れられるものです。点検が後回しにされる理由は、これまで時間不足だったことがありません。予定表に入っていないことです。

六、今週「新しいものはなかった」と確認した出典

この節の価値は上の各節と同じです。見て問題なしと言えるものを挙げられてはじめて、残りが何かが分かります。以下はいずれも今週実際に読んだもので、括弧内は確認できた最後の項目です。

• PHP〔公式〕：今週はセキュリティ更新なし。11 月 5 日は 8.6.0 RC5（テスト版）のみ。直近のセキュリティ勧告は 10 月 21 日の一括（8.5.12／8.4.27／8.3.36／8.2.35）で、第 1 号と第 2 号で扱いました。
• Laravel〔公式〕：11 月 3 日に 13.40.0 が公開されましたが、リリースノートにセキュリティ項目はありません（本文全体で security を検索し、該当なし）。Packagist 上の laravel/framework の直近の勧告は 10 月 23 日です。
• GitLab〔公式〕：今週は新しい一括なし。最後は 10 月 29 日の 19.5.3／19.4.5／19.3.7／19.2.10／19.1.10／19.0.1 です。これは前号で残した問いの答えにもなります——前号では「GitLab に今週新しい一括があったか確証できない」と書きました。11 月 6 日時点ではありませんでした。
• Mozilla〔公式〕：今週は新しい勧告なし。最後は 10 月 27 日の MFSA 2026-123（Firefox 159）です。
• Go〔公式〕：今週は新版なし。crypto/x509 のセキュリティ修正を含む 1.27.3 は 10 月 19 日公開で、今週の範囲外です。
• Oracle〔公式〕：今週は新しい告知なし。10 月の一括の最終改訂は Rev 2（10 月 26 日）です。
• Composer（ca-bundle）〔公式〕：今週は新版なし。最後は 10 月 29 日の 1.6.1 です。
• Electron〔公式〕：11 月 3 日と 4 日に公開がありました（45.2.3／45.2.2／44.10.2／43.8.7）が、リリースノートの内容はクラッシュ修正と上流（Chromium、ANGLE、FFmpeg など）からのバックポートで、セキュリティ勧告は挙げられていません。したがって今週のセキュリティ更新には数えません。ただしデスクトップアプリを Electron で包んでいる場合、Chrome 157 の 213 件はバックポートとして順次入ってきます。

七、見つからなかったもの、今週読まなかったもの

この節は意図して残しています。見えたものだけを書く週報は、読む側に「今週はこれだけだった」と思わせます——何が漏れたかを知っているのは、書いた側だけです。

• GitHub の変更履歴：11 月 6 日は読めず、公開前の再確認で読めました。当日はこの端末から github.blog のドメイン解決に失敗したもので、ページがエラーを返したのではありません——当方の環境の問題で、GitHub が何も出していないという意味ではありません。11 月 8 日は解決でき、変更履歴の最新 10 件（11 月 4 日〜7 日）を読みました。修補を要する脆弱性の告知は 1 件もなく、いずれも機能更新です（例：11 月 5 日の secret scanning 検出器の更新、11 月 4 日の CodeQL 2.27.4）。読めたのはその 10 件だけなので、11 月 2 日と 3 日に何かあったかは言えません。
• シンガポール CSA の勧告ページも今週読めませんでした。301 のリダイレクトが返り、追い切っていません。
• Chrome の 213 件についての公式な深刻度集計は見つかりません。告知は各項目に Critical／High／Medium／Low を付けていますが、どこにも合計がありません。第 3 節の内訳は自分たちで数えたもので、出どころを添えて載せています。Google が出したもののように見せるためではありません。
• 第 2 層（調査機関とメディア）の 6 社——Tenable、Sansec、Socket、StepSecurity、Snyk、Checkmarx——は今週 1 社も読んでいません。前号と同じ欠落で、埋められていません。つまり、今週 調査会社だけが話題にしていてベンダーがまだ告知していない脆弱性があれば、この週報には見えません。
• 別の担当から届いた三つの手がかりは、本号ですべて決着し、うち一つが第 2 節を書き換えました。(1) 当初は「この Symfony の一括は 22 件」でしたが、同日に本人が 21 件へ訂正しました。これは当方が二つの経路でそれぞれ数えた 21 件と一致し、その訂正こそが当方に数え直しをさせ、自分の「16 本」という誤りを見つけさせたものです。(2) この一括のうち 9 件が CVE 番号を持つとして 4 つが挙げられました。第一巡では Packagist、symfony.com、GitHub の全体勧告 API のいずれにも見つからず、取り決め通り結論には入れませんでした。その後、正確な出どころ——GitHub のリポジトリ専用エンドポイント repos/symfony/symfony/security-advisories——が示され、当方で実際に問い合わせて 4 件すべてを確認し、そのデータセットにしかない深刻度も併せて得ました。第 2 節の対照表は、このやり取りの結果であって、当方だけで調べたものではありません。(3) Laravel 13.x に影響するとされる勧告番号は依然として確認できず（GitHub の全体 API は Not Found、Packagist の laravel/framework に 11 月の記録なし）、結論には入れていません。この段落を残すのは、示していることのためです。確認できなかったものは「確認できなかった」と書く。ただし結論の前に出どころを尋ねる。第一巡の「見つからない」も、第二巡の「確認できた」も、どちらも正しく、間にあったのは正しいエンドポイント一つだけでした。
• LiteLLM の 1.108.0（11 月 4 日）のリリースノートには security の語がありますが、項目ごとの確認はしていません。週に複数の版が出るため、どれがセキュリティ修正かを切り分けるには別の一巡が必要です。今号では行っていません。
• KEV のデータファイルは 11 月 4 日までです（版 2026.11.04）。11 月 5 日と 6 日に追加があったかどうかは、本号の見える範囲の外です。

毎号成り立つ構造的な欠落もあります。この出典一覧は、顧客が実際に動かしているパッケージから逆算して作ったものではありません。二つのチームの経験から育ったものです。自社システムを本当に覆うようにするには、まず自分の技術一覧が要ります——システム健診が最初に作るのがそれです。

今週、システム担当者に聞ける三つの質問

• いま WordPress はどのバージョンですか。7.1.4 以降でなければ、次の一言は「いつ更新するか、誰がやるか」です。これは公式に悪用が確認された件で、理論上のリスクではありません。
• Symfony で実際に使っているコンポーネントは、いずれも修正版に上げましたか。（多くは 5.4.56／6.4.50／7.4.23／8.1.11、HTML Sanitizer は 6.4.50 以降、JSON Path は 7.4.23 と 8.1.11 のみ）すでに上げていたなら、もう一つ。「あのパス規則の回避の退行に、むしろ当方が該当していませんか」。あれは 5.4.50／6.4.29／7.3.7 以降にいる環境だけに当たります。
• 来週水曜の Node.js の一括は誰が担当しますか。日付と最高深刻度はすでに公開されています。この質問が測るのは技術ではなく手順です。事故を待つのではなく、予告を読んでいる人がいるか。

恩梯科技（NT IT）はカスタム開発出身のシステムソフトウェア会社で、いま取り組んでいるのは AI システムの長期保守です。この週報は毎週まとめていますが、長期保守が受け持つのはまさにこの記事で書き切れない部分です。セキュリティ更新に決まったリズムがあること、緊急の脆弱性は別扱いにすること、そしてアップグレードの前後を誰かが検証すること。自社システムがどの技術を使っているか、対応する勧告を誰かが見ているかが分からなければ、システム健診から始められます：システム健診を予約する

本号の出典

第 1 層（公式）：CISA 悪用が確認された脆弱性一覧のデータファイル https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json ；WordPress 7.1.4 公式告知 https://wordpress.org/news/2026/10/wordpress-7-1-4/ ；WordPress バージョン確認エンドポイント https://api.wordpress.org/core/version-check/1.7/ ；NVD の CVE-2026-119977 https://nvd.nist.gov/vuln/detail/CVE-2026-119977 ；Symfony セキュリティ勧告カテゴリー https://symfony.com/blog/category/security-advisories ；Symfony 2026 年 11 月アーカイブ https://symfony.com/blog/archives/2026/11 ；Packagist セキュリティ勧告 API https://packagist.org/api/security-advisories/ ；Chrome デスクトップ安定版告知 https://chromereleases.googleblog.com/2026/11/stable-channel-update-for-desktop.html ；Next.js 16.4.5 https://github.com/vercel/next.js/releases/tag/v16.4.5 と 15.5.29 https://github.com/vercel/next.js/releases/tag/v15.5.29 ；Node.js 2026 年 11 月セキュリティリリース予告 https://nodejs.org/en/blog/vulnerability/november-2026-security-releases ；Oracle セキュリティ告知一覧 https://www.oracle.com/security-alerts/ ；PHP 2026 年ニュースアーカイブ https://www.php.net/archive/2026.php ；Laravel 13.40.0 https://github.com/laravel/framework/releases/tag/v13.40.0 ；GitLab パッチリリース feed https://docs.gitlab.com/releases/patch-releases.xml ；Mozilla セキュリティ勧告 https://www.mozilla.org/en-US/security/advisories/ ；Go リリース履歴 https://go.dev/doc/devel/release ；Electron リリース https://github.com/electron/electron/releases 。

第 2 層（調査／メディア）：本号は第 2 層の出典を一つも引用していません。今週 1 社も読んでいないためです（第 7 節参照）。